過去的Facebook Iframe Block

Question

在Facebook上，他們似乎有一個塊，它可以防止你加載iframe他們的網站。

當你這樣做時，他們鎖定了他們的網站example的完整功能。

我只是想知道如果有人知道你怎麼能繞過這個？

Answer 1

如果他們沒有阻止，攻擊者可以將Facebook頁面加載到透明的iframe中，並在其下面放置一些有趣的內容。讓asume受害者登錄到facebook，然後訪問攻擊者的網站（經過一段時間後，在另一個選項卡中）。

受害者將點擊攻擊者網站上的內容。但事實上，它正在點擊透明的iframe並觸發Facebook網站上的一些操作。瀏覽器當然會將會話cookie發送到Facebook，Facebook會看到登錄用戶的合法行爲。

維基百科上的點擊劫持的文章：http://en.wikipedia.org/wiki/Clickjacking

這種攻擊可以使用非官方的X框，選擇HTTP頭作爲 http://www.webmasterworld.com/webmaster/4022867.htm描述不幸的是並不是所有的瀏覽器都支持它，防止因此打破Java腳本框架是也是必需的。

Answer 2

如果你能做到這一點，Facebook面臨嚴重的安全威脅。

我說忘了它，即使找到了一個方法，facebook很快就會阻止它，然後該方法將失敗。

除非你正在做一些調皮的事情，而你只需要一些現在可行的東西。